이메일 중심적으로 사용하는 사용자가 많고, 이메일로 새 주제를 시작할 수 있기를 원합니다. 해당 기능을 활성화했지만, 스푸핑된 이메일(의도적이든 우연히 맞춘 것이든)을 통한 스팸이 우려됩니다.
이 기능을 허용하되, 각 새 주제에 대해 ostensibly 출처인 이메일 주소로 확인을 위한 회신을 요청하는 메시지를 보내는 방법이 있을까요?
enable_staged_users 옵션이 꺼져 있다면 걱정하지 않으셔도 됩니다. 해당 옵션이 켜져 있다면, 해당 카테고리(예: tl_2)에 게시물을 작성하려면 그룹 멤버십을 요구하도록 설정할 수 있으며, 이를 통해 보호받을 수 있습니다.
OP은 새로운 스팸 계정보다, 스팸 공격자가 합법적인 기존 계정의 이메일 헤더를 위조하는 것에 더 우려하고 있는 것으로 보입니다.
즉, 그들은 카테고리 게시 주소를 추측하는 것은 물론이고, legitimate한 사용자의 이메일 주소도 알아내야 합니다. 그럴 가능성은 꽤 낮아 보이지만, 누군가의 이메일 계정이 해킹되어 해커가 주소록에 있는 모든 사람에게 이메일을 보냈다면 그런 일이 일어날 수 있겠죠.
네, 맞습니다.
글쎄요, 우리는 사람들이 카테고리에 게시할 수 있도록 해당 주소를 공개하고 있습니다. 또한, 저는 사람들과 소통할 때 제 이메일 주소를 사용하므로 제 이메일 주소를 알아내는 것은 어렵지 않습니다. 해킹이 필요하지 않다는 뜻입니다.
따라서 이는 스팸보다는 더 이상에 가까울 것입니다. 왜냐하면 상대방이 이미 이메일을 주고받은 적 있고, 당신의 커뮤니티에 대해 알고 있는 사람이기 때문입니다. 중개 메일 서버가 SPF와 DMARC를 적용한다면 일부 보호를 받을 수 있습니다. 또한 당신은 관리자이므로 Akismet의 도움을 받을 수 없습니다. 문제가 될 수는 있지만, 여전히 가능성은 꽤 낮아 보입니다. 아마도 이메일 주소를 Discourse의 비공개 영역에 두도록 설정하는 방법이 있을 것입니다.
다만, 그건 꽤나 표적화된 공격이 될 겁니다. 특정 포럼과 일부 사용자 계정을 겨냥하는 것이죠. 평범한 스팸러가 할 법한 일은 아닐 겁니다.
아마도, 적어도 랜덤한 자동화 스팸의 경우 더 현실적인 방법은, 스팸러가 일종의 “무지개 공격”(이 용어가 정확하지는 않을 수 있습니다)을 수행하는 것일 겁니다. 419 사기 등에 사용되는 실제 이메일 주소 데이터베이스를 대상으로, 다양한 헤더를 위조하는 방식이죠.
이 경우에도 여전히 사람이 다음을 수행해야 합니다:
- 귀하의 포럼에 대해 이론적으로 실행 가능한 공격 벡터임을 인식하는 것
- 수신용 이메일 주소를 찾는 것
- 해당 주소만 대상으로 하는 자동 메일 발송기를 설정하는 것
사실 이건 사람이 직접 조작하는 sock-puppet(가짜) 계정을 운영하는 것보다 더 많은 노력이 필요해 보입니다…
우리는 2003/2004년에 시작된 커뮤니티이기 때문에 공개 메일링 리스트를 가지고 있습니다. 사람들의 이메일 주소가 그 메일링 리스트에 올라가 있습니다. 모두에게 비밀인 두 번째 이메일 주소로 가입해 달라고 지시할 수는 있지만, 그것 자체가 장벽이 됩니다. 어쨌든, 이메일 주소는 일반적으로 비밀로 취급되어서는 안 됩니다.
스팸러를 평범한 스팸러와 특별한 스팸러로 분류하는 데는 관여하지 않겠지만, 우리는 분명히 둘 다에 대해 걱정해야 합니다. 이전에 매우 집요한 스팸 공격(quickbooks 지원 사기 등)을 받은 적이 있습니다.
그리고 누구에게 영감을 주거나 하는 게 아니지만, 스팸이 아닌 악의적인 사칭에 대해서도 우려가 있습니다. 제안된 메커니즘은 이메일 주소를 실제로 해킹당하는 경우가 아니라면(그런 경우에는 더 큰 문제가 발생하므로), 추가 단계라는 작은 불편함만 감수하면 이메일로 스레드를 시작할 수 있게 해주므로 해당 위험을 피할 수 있습니다.
어쨌든 답변들을 보면 그런 기능이 이미 존재하지 않는다는 것이 명확합니다… 제가 뭔가 놓치고 있는 것이 아닙니다. RFE: RFE: self-confirmation by autoreply when starting a new topic by email-in
말씀하신 의도는 충분히 이해합니다.
이건 정말 플러그인으로 만들어도 좋을 것 같습니다:
- 이메일로投稿된 모든 게시물은 검수가 필요합니다.
- 플러그인이 확인 링크(게시물마다 고유)가 포함된 이메일을 보냅니다.
- 링크를 클릭하면 플러그인이 해당 게시물을 승인합니다.
참고: 본인이 시작한 토픽이 질문에서 기능 요청이나 플러그인 요청으로 빠르게 방향이 바뀌는 경우, 새 토픽을 만드는 대신 플래그를 걸고 관리자에게 재분류를 요청할 수 있습니다. 이렇게 하면 요청의 동기에 대한 초기 논의가 한곳에 유지됩니다. 나중에 정리 작업이 필요하면 관리자가 처리해 줍니다.
플러그인을 사용해도 괜찮습니다. 다만 우리는 비즈니스 호스팅 플랜을 사용 중이라 임의의 플러그인을 설치하는 것이 더 어렵습니다(또한 엔터프라이즈 플랜은 현재 예산을 초과합니다. 적어도 이 플랫폼이 우리의 주요 비동기 커뮤니케이션 플랫폼이 되기 전까지는요. 그리고 그걸 이루려면 이메일에 적합한 기능이 반드시 필요합니다. 따라서 팀이 이 기능을 핵심 기능으로 채택하는 것이 합리적이라고 판단해 주시길 바랍니다. 